Ποιος θεωρείται insider
Insider είναι όποιος έχει νόμιμη πρόσβαση. Σε αυτούς περιλαμβάνονται οι τρέχοντες εργαζόμενοι, οι συνεργάτες με σύμβαση, οι σύμβουλοι, το προσωρινό προσωπικό, καθώς και οι συνεργάτες ή προμηθευτές στους οποίους έχουν δοθεί λογαριασμοί, πρόσβαση VPN ή είσοδος στο κτίριο. Συνήθως συμπεριλαμβάνονται και πρώην εργαζόμενοι των οποίων οι λογαριασμοί δεν αφαιρέθηκαν ποτέ πλήρως.
Αυτό που ορίζει τον insider είναι η εξουσιοδοτημένη πρόσβαση, όχι η πρόθεση ή η συμπεριφορά. Το ίδιο πρόσωπο μπορεί να είναι ένας έμπιστος συνάδελφος σήμερα και ένα θέμα ασφάλειας αύριο, γι' αυτό ο όρος περιγράφει έναν ρόλο και όχι μια ετικέτα. Την ευρύτερη εικόνα αυτού του ρόλου καλύπτει ο κίνδυνος από insiders.
Τέσσερις τύποι insider
Η πρακτική ασφάλειας διαχωρίζει τους insiders ανάλογα με την πρόθεση και με το ποιος βρίσκεται πραγματικά πίσω από τον λογαριασμό. Οι απροσεξίες προκαλούν συχνά την ίδια ζημιά με τη σκόπιμη κατάχρηση, οπότε η πρόθεση από μόνη της είναι κακός οδηγός.
Για τα εργαλεία ασφάλειας, ένας παραβιασμένος λογαριασμός φαίνεται εξουσιοδοτημένος, επειδή τεχνικά είναι.
| Τύπος | Τι σημαίνει |
|---|---|
| Απρόσεκτος insider | Απρόσεκτος ή μη ενήμερος: αρχεία σε λάθος παραλήπτη, phishing, χαμένα laptop |
| Κακόβουλος insider | Καταχράται σκόπιμα την πρόσβαση, για παράδειγμα αντιγράφοντας δεδομένα πελατών για έναν ανταγωνιστή |
| Παραβιασμένος insider (mole) | Νόμιμος λογαριασμός που λειτουργεί από επιτιθέμενο ή από ένα τοποθετημένο πρόσωπο |
| Insider τρίτου μέρους | Προμηθευτές, εξωτερικοί συνεργάτες IT και ελεγκτές με χορηγημένη πρόσβαση |
Πού κρύβεται η δραστηριότητα των insiders
Πολλές από αυτές τις συνήθειες βρίσκονται μέσα στο shadow IT: εργαλεία που κανείς δεν ενέκρινε και κανείς δεν παρακολουθεί. Αυτές οι συνήθειες δεν αφήνουν αίτημα ούτε εγγραφή άδειας, οπότε οι συνηθισμένοι έλεγχοι δεν τις βλέπουν ποτέ.
Η ορατότητα επανέρχεται μέσω της αυτόματης ανακάλυψης, που δείχνει τι είναι εγκατεστημένο και τι χρησιμοποιείται, και μέσω ενός ενημερωμένου μητρώου με το ποιος έχει ποια πρόσβαση.
Οι συνηθισμένες περιπτώσεις εντάσσονται σε λίγα μοτίβα:
- Προσωπικός λογαριασμός κοινής χρήσης αρχείων για αρχεία πελατών
- Προσωπική διεύθυνση email για αποστολή τιμοκαταλόγου
- Μονάδα USB με αντίγραφο της βάσης πελατών πριν από την παραίτηση
- Εκτύπωση που έμεινε στο δίσκο ενός κοινόχρηστου εκτυπωτή
Πώς φαίνεται στο Anexet
Στην κονσόλα πελάτη, ο διαχειριστής κατηγοριών κινδύνου ορίζει πώς ομαδοποιούνται τα συμβάντα. Οι ενσωματωμένες κατηγορίες, όπως η Internal Threat, έχουν ήδη προεπιλεγμένο επίπεδο κινδύνου, οπότε η δραστηριότητα υψηλού κινδύνου εμφανίζεται χωρίς να γράφετε κανόνες εντοπισμού από το μηδέν. Η σελίδα εντοπισμού απειλών από insiders δείχνει πώς αυτές οι βαθμολογίες περνούν στις έρευνες.
Οι διαχειριστές επισημαίνουν επίσης χρήστες με ετικέτες συστήματος, όπως Suspicious, Special control και Offboarding, ώστε ο έλεγχος να ακολουθεί το πρόσωπο και όχι μόνο ένα συμβάν.
1 / 2
Insider έναντι εξωτερικού δράστη
Ένας εξωτερικός επιτιθέμενος πρέπει πρώτα να διαπεράσει το περίμετρο: τείχος προστασίας, ταυτοποίηση και προστασία τελικών σημείων. Ο insider ξεκινά πίσω από όλα αυτά. Έχει ήδη έγκυρα διαπιστευτήρια, γνωρίζει πού βρίσκονται τα πολύτιμα δεδομένα και έχει σαφή εικόνα της κανονικής δραστηριότητας.
Γι' αυτό ο διαχωρισμός της δραστηριότητας ενός insider από τη νόμιμη εργασία είναι δυσκολότερος από τον εντοπισμό μιας εξωτερικής επίθεσης. Η ανάλυση συμπεριφοράς χρηστών και οντοτήτων (UEBA) το αντιμετωπίζει συγκρίνοντας κάθε πρόσωπο με το δικό του πρότυπο.
| Ικανότητα | Εξωτερικός επιτιθέμενος | Insider |
|---|---|---|
| Έχει έγκυρα διαπιστευτήρια | ||
| Ξεκινά πίσω από το τείχος προστασίας | ||
| Γνωρίζει πού βρίσκονται τα πολύτιμα δεδομένα | ||
| Πρέπει να διαπεράσει το περίμετρο |
Πώς διαχειρίζεται ο κίνδυνος από insiders
Το «insider» περιγράφει έναν ρόλο και όχι μια ετικέτα απειλής, και οι περισσότεροι insiders δεν προκαλούν ποτέ ζημιά. Ωστόσο, κάθε insider αντιπροσωπεύει έναν κίνδυνο που η ασφάλεια περιμέτρου δεν μπορεί να δει: σκόπιμη κατάχρηση, δαπανηρά λάθη ή κατάληψη λογαριασμού.
Τη διαχείριση αυτού του κινδύνου αναλαμβάνει η διαχείριση κινδύνου από insiders. Συνίσταται ουσιαστικά σε τέσσερα βήματα:
- 1
Γνωρίστε την πρόσβαση
Εντοπίστε σε ποια συστήματα, δεδομένα και εγκαταστάσεις μπορεί να φτάσει κάθε insider.
- 2
Παρατηρήστε τη χρήση
Δείτε πώς χρησιμοποιείται αυτή η πρόσβαση σε όλα τα κανάλια.
- 3
Συγκρίνετε με τη βάση αναφοράς
Μετρήστε τη δραστηριότητα κάθε χρήστη σε σχέση με το δικό του κανονικό μοτίβο.
- 4
Ενεργήστε στις παραβιάσεις
Αντιδράστε όταν μια συμπεριφορά ή ένα περιεχόμενο ξεπερνά τα όρια της πολιτικής.
Από πού να ξεκινήσετε
Ξεκινήστε από τα δεδομένα που θα πλήγωναν περισσότερο αν διέρρεαν, και μετά από τα κανάλια που χρησιμοποιούν πραγματικά οι άνθρωποι για να τα μεταφέρουν. Οι πολιτικές που γράφονται για όλα τα αρχεία ταυτόχρονα καταλήγουν να μπλοκάρουν την καθημερινή εργασία και απενεργοποιούνται.
Περισσότερα: Πώς να αναγνωρίσετε έναν insider σε μια εταιρεία και να αποτρέψετε τη δραστηριότητά του;; Πώς εντοπίζει ένας υπεύθυνος ασφαλείας έναν insider με το σύστημα DLP;.
Ένας insider δεν χρειάζεται ποτέ να παραβιάσει κάτι. Το πραγματικό ερώτημα είναι τι κάνει με την πρόσβαση που ήδη έχει.
Anexet TeamΠώς το αντιμετωπίζει η Anexet
Το κύριο αντικείμενο του Anexet είναι ο κίνδυνος από insiders: να κατανοήσουμε τι κάνουν πραγματικά τα πρόσωπα με νόμιμη πρόσβαση.
Η αρχιτεκτονική on-premise κρατά το ιστορικό δραστηριότητας και τα προφίλ συμπεριφοράς μέσα στην υποδομή του ίδιου του οργανισμού. Αυτό έχει σημασία εδώ, επειδή τα δεδομένα παρακολούθησης insiders είναι από μόνα τους πολύ ευαίσθητα.
Παρακολούθηση με επίκεντρο τον insider
Οι agents στους σταθμούς εργασίας καταγράφουν τη δραστηριότητα των χρηστών στο email, στο web, σε εφαρμογές cloud, σε messengers, σε αφαιρούμενες συσκευές, στην εκτύπωση και στο πρόχειρο, δηλαδή στα κανάλια που χρησιμοποιούν οι insiders για να μεταφέρουν δεδομένα.
Ανάλυση συμπεριφοράς (UBA)
Το Anexet δημιουργεί βάση αναφοράς για την κανονική δραστηριότητα κάθε χρήστη και αξιολογεί τα νέα συμβάντα σε σχέση με αυτή, ώστε να φαίνεται η επικίνδυνη συντόμευση ενός απρόσεκτου insider ή η απόκλιση ενός κακόβουλου insider από τη δική του ρουτίνα.
Επίγνωση περιεχομένου
Η ανάλυση περιεχομένου DLP (λεξικά ασφάλειας, τράπεζες hash, ψηφιακά αποτυπώματα, ετικέτες ευαισθησίας) δείχνει όχι μόνο ποιος έκανε τι, αλλά και ποια δεδομένα εμπλέκονταν, διαχωρίζοντας μια συνηθισμένη μεταφορά από τη διακίνηση ευαίσθητου περιεχομένου.
Περιστατικά και ίχνος ελέγχου
Τα σχετικά συμβάντα συγκεντρώνονται σε περιστατικά, και κάθε συμβάν καταγράφεται με χρήστη, χρονική σήμανση, κανάλι και ταξινόμηση περιεχομένου, υποστηρίζοντας τις έρευνες και τις απαιτήσεις τεκμηρίωσης.
Anexet DLP
Μάθετε περισσότερα